← Retour
CVE-2026-52890
high
CVSS 7.1
Wekan is open source kanban built with Meteor. Prior to 9.31, Wekan allows a logged-in board member to insert an attachment document through the /attachments/insert DDP method with attacker-controlled...
Résumé
Wekan is open source kanban built with Meteor. Prior to 9.31, Wekan allows a logged-in board member to insert an attachment document through the /attachments/insert DDP method with attacker-controlled versions.original.path and versions.original.storage fields. The server/permissions/attachments.js...
Résumé IA openai / gpt-4o
Une vulnérabilité référencée **CVE-2026-52890** a été découverte dans dos.
Des attaquants peuvent cibler un point d'entrée spécifique comme `GET /cdn/storage/attachments/` à distance pour détourner le produit.
Des informations confidentielles peuvent être exposées. Score CVSS : 7.1/10.
Action : appliquez le correctif officiel de l'éditeur.
En cas de doute, contactez votre service informatique ou cherchez « dos CVE-2026-52890 » sur le site de l'éditeur.
CVE-2026-52890 (dos) — CWE-22 / CVSS v3 7.1
Vecteur d'attaque : distant (réseau) / sans interaction utilisateur
Surface d'attaque : GET /cdn/storage/attachments/ / `Attachments.insert` / `versions.original.path` / `versions.original.storage`
Versions affectées : `<= 9.30.0`
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
❓ Quel est le problème
ログイン済みのボードメンバーが任意のファイルを挿入する脆弱性。
📍 Périmètre concerné
バージョン9.31より前のWekan。
🔥 Gravité
攻撃者が任意のファイルを読み取れて、サービス拒否攻撃が可能となるため、非常に危険。
🔧 Comment corriger
Wekanをバージョン9.31にアップデートする。
🛡️ Contournement
情報なし
🔍 Détection
バージョンが9.31未満のWekanを使用しているか確認。